Praxistipps / FAQ

Rund um Sicherheit im Internet

Hier informiere ich über Themen aus meiner Arbeitspraxis, denen meine Kunden begegneten.

• Welchem Anbieter vertrauen Sie bei Videokonferenzen?
  Abhören per Zoom & Co versus
  Datenschutz per Jitsi Meet und weiteren Alternativen
• Wann ist eine Website veröffentlicht worden?
  Registrierungsdatum vs. Erscheinungsdatum einer Domain
• Welche Mail-Anhänge öffnen Sie?
  Gefälschte E-Mail Konto-Status, angeblich von PayPal
• Welches Merksystem verwenden Sie?
  Sicheres Passwort / Kennwort
• Wie gehen Sie ins Internet?
  Manipulierte Router, insbesondere Fritz!Box
• Wer bereichert sich an Ihrem Geld?
  Auch abseits des Euros lässt sich wirtschaften

Welchem Anbieter vertrauen Sie bei Videokonferenzen?
Abhören per Zoom & Co versus
Datenschutz per Jitsi Meet und weiteren Alternativen

April 2021 ¤ Alles in diesem Kreis Gesagte ist vertraulich und bleibt unter uns. Wirklich?

WARNUNG vor Anbietern aus USA (z.B. Zoom, Skype) als verlängertem Arm der Geheimdienste

• US-Konzerne müssen nach US-Recht Nutzerdaten und Inhalte der Kommunikation US-Geheimdiensten preisgeben, denen wird also Mithören und Mitschneiden ermöglicht:
  PATRIOT Act auf Wikipedia
  PRISM auf Wikipedia
• Somit können Gesichter, Gesprochenes, Bewegungen automatisch erfasst, klassifiziert und gespeichert werden. Was KI jetzt oder nach Jahren damit automatisch macht und an Exekutive weitergibt, ist unberechenbar.
  → Wer als Einladender möchte das seinen Konferenz-Teilnehmern zumuten?

LÖSUNGEN

• Die Open Source Systeme Jitsi Meet, BigBlueButton und Nextcloud Talk wurden mehrfach auf Vertraulichkeit getestet und für gut befunden:
  Empfehlungen von Digitalcourage
  Kommerziell angebotene siehe Datenschutz – empfehlenswerte Systeme,
  nichtkommerzielle hier im folgenden.
• Jitsi Meet ist recht verbreitet. Zum einfachen Einrichten von Konferenzen gibt es fertige Installationen, welche zwar nicht eigener Kontrolle unterliegen, aber deutsche Infrastruktur nutzen:
  Instanz (offen) von Golem
  Instanz (offen) der Forschungsgemeinschaft elektronische Medien e.V.
  Instanz (offen, gegen Spende) des Chaostreff Osnabrück e.V.
  Instanz (offen) von BITel
  Nutzbar ist es über einen Browser wie Firefox oder Chrome oder über die
  Jitsi Meet App von F-Droid;
  die Finger sollte man von den entsprechenden Apps von GooglePlaystore und AppleAppStore lassen, da letztere Tracking-Komponenten enthalten.
  Experten können eine Instanz auch auf einem eigenen Server selber hosten.
• BigBlueButton funktioniert nach eigener Erfahrung und Berichten anderer sehr gut, auch in großen Gruppen; z.B. Extinction Rebellion benutzen es. Auf einem Whiteboard oder in einer hochgeladenen Präsentation können Teilnehmer gemeinsam zeichnen.
  Instanz (Konferenz einrichten mittels kostenlosem Account) von BigBlueButton
  Experten können eine Instanz auch auf einem eigenen Server selber hosten.
• Experten können einen SIP-Server hosten und Standard-Clients verwenden wie z.B. Jami:
  Artikel auf Wikipedia
• Ohne Video gibt es noch die klassische Telefonkonferenz über einen Konferenzanbieter mit zentraler Rufnummer oder über den eigenen Telefon-Provider. Diese benötigen weniger Bandbreite benötigen als internetbasierte Lösungen. Man kann dabei auch ganz praktisch spazieren.
• Konkrete Lösungen für Schulen:
  Empfehlungen des Datenschutzbeauftragten für Schulen im Kreis Olpe

DATENSCHUTZ

• Bei einer
  Bewertung der Berliner Datenschutzbeauftragten
  ( Kurzfassung auf yourIT )
  fielen die meisten großen Videokonferenzsysteme durch (Teams und Skype von Microsoft, Zoom, Google Meet, GoToMeeting, Blizz und Cisco Webex), insgesamt gesehen:
  nach der DS-GVO unzulässige Datenexporte in Drittländer, unzulässig Löschpflicht eingeschränkt oder ausgeschlossen, unzulässig nicht-EU-Recht eingebunden, diffuse Regelungen zu Unterauftragsverarbeitern, einseitige Vertragsänderungen möglich;
  es gibt aber ebenso viel empfehlenswerte Systeme, insbesondere:
  A-Confi, alfaview, Cloud 1X Meet, mailbox.org, meetzi, Netways Jitsi, OSC BigBlueButton, Werk21 BigBlueButton, WirePro .
• Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder haben eine
  Orientierungshilfe Videokonferenzsysteme
  ( Kurzfassung auf Golem )
  herausgegeben.
• Die Gesellschaft für Datenschutz und Datensicherheit hat eine
  Übersicht über Videokonferenzsysteme
  herausgegeben.
• Zoom ist bekannt dafür, heimlich Livebilder der Computerkamera und Daten an Facebook weitergereicht zu haben (ohne dass dies in den AGB stand):
  Bericht auf Golem
  Bericht auf heise
  Auch wenn dies konkret behoben ist, kann ein solcher Anbieter weitere unliebsame Dinge treiben.
• Ein krimiartiger
  Bericht auf heise
  über Lernplattformen für deutsche Schulen und rechtswidrige Nutzung von Diensten von Amazon Webservices und WhatsApp. Auch der Nachtrag ist spannend.

GENERELLE TIPPS

Bei Konferenzen ohne Anmeldung der Teilnehmer:

• das Betreten einschränken auf Abfrage eines Passworts, und dieses vertraulich und getrennt vom Einladungslink den Teilnehmern übermitteln
• einer Vertrauensperson in der Moderatorenrolle ermöglichen, ggf. unbefugte Teilnehmer auszuschließen

Praxistipp unter Mitwirkung von F. Becker

Wann ist eine Website veröffentlicht worden?
Registrierungsdatum vs. Erscheinungsdatum einer Domain

Juli 2016 ¤ Je nach Art der Domain lassen sich solche Zeitpunkte auf folgende Weisen nachweisen oder schätzen:

1. Wann wurde eine Domain zuletzt registriert?
   • für .de-Domains; z.B. transition-initiativen.de
     Eine rechtsverbindliche Aussage ist auf schriftliche Anfrage bei der DENIC erhältlich:
     Kontakt der DENIC
   • für internationale Domains wie .com, .net, .org etc.; z.B. monneta.org
     
     • Whois-Abfragen per Browser siehe:
       Whois Search von Network Solutions
       Registry Whois Search InterNIC
       Blog-Artikel von Daniel Dingeldey (ganz unten dort eine Liste weiterer Webservices)
     • Whois-Abfrage per Terminal:
       > whois domain-name | grep -i 'date:'
2. Wann tauchte eine Domain zuerst im WWW auf?
   Einige Webservices halten Daten aus der Vergangenheit des WWW vor und geben unverbindlich, ohne Anspruch auf Vollständigkeit, Auskunft.
   • Wann eine Website das erste mal gesichtet wurde, zeigt:
     Site report von Netcraft
   • Alte Versionen einer Website mit Datum der Sichtung zeigt ausführlicher:
     Wayback Machine des gemeinnützigen Projekts Internet Archive

HINTERGRUND

• zur rechtlichen Verbindlichkeit und Whois-Abfragen per Browser:
  Blog-Artikel von Daniel Dingeldey
• zum Domain-Alter:
  Blog-Artikel auf Zweinull-blog.de
  Blog-Artikel von Nikolay Nikolov

Welche Mail-Anhänge öffnen Sie?
Gefälschte E-Mail Konto-Status, angeblich von PayPal

Mai 2014 ¤ Möglicherweise erhalten Sie ähnliche Post, die Ihnen an den Geldbeutel will: eine E-Mail, welche

• mit dem Absender PayPal beschriftet ist
• dazu auffordert: Um Ihr PayPal-Konto zu aktualisieren, liegt Ihnen in Ihrer E-Mail Adresse ein Formular zur Verfügung.
• die Notwendigkeit erweckt, jenen Anhang
  "Personliches Profil - PayPal.html" zu öffnen

ACHTUNG

• Behalten Sie Ihre geheimen Zugangsdaten generell für sich, solange Sie nicht sicher sind, mit Ihrem Browser online auf der echten URL (Web-Adresse, in diesem Fall https://www.paypal.com) des Dienstes zu sein, dem Sie Ihre Daten anvertrauen! — s.u. GENERELLE TIPPS
• Löschen Sie diese Mail oder zumindest ihren Anhang, damit niemand aus Versehen dort seine geheimen Daten preisgibt!

WARNUNG

• Ist der Anhang geöffnet, werden dort Passwort und Kreditkartendaten abgefragt, ohne zuvor ins PayPal-Konto einzuloggen. Es liegt im Dunkeln, wohin diese Daten bei Eingabe geschickt werden.
• Ist Ihr Browser einmal einem Betrugs-Link gefolgt, wird er (in der Grundkonfiguration mit Auto-Vervollständigen) Ihnen später beim Eintippen einer URL auch diesen Betrugs-Link anbieten.

AUFKLÄRUNG

• Die untersuchte Mail stammt von einem Server in der Ukraine (Quelltext: Received: from intertour.ua ([144.76.175.22]))
• Diese Mail war in unserem Fall an eine Mail-Adresse gerichtet, die gar nicht bei PayPal registriert ist.
• Die Eingabemaske arbeitet als lokale Datei auf dem Benutzerrechner völlig losgelöst vom eigentlichen Login auf der PayPal-Website.
• Daraus lässt sich folgern, dass diese Mail und Eingabemaske dazu versendet wurden, um PayPal- und Kreditkarten-Konten zu plündern.
• Die Art des Betrugs ist Phishing.
  Meldungen der Verbraucherzentrale Nordrhein-Westfalen
  Erläuterung von PayPal

GENERELLE TIPPS

• Lassen Sie Links in zweifelhaften Mails links liegen. Wenn Sie zum Online-Portal Ihres vertrauten Dienstes (z.B. Bank) gehen wollen, tun sie dies auf sichere Weise, indem Sie im Browser die Ihnen bekannte URL (Web-Adresse) verwenden, z.B. über Ihre Bookmarks (Lesezeichen) oder durch Eintippen der kompletten URL.
• Signale, woran Sie eine Phishing-Mail erkennen:
  Anleitung der Verbraucherzentrale Nordrhein-Westfalen
• Sicherer Umgang mit E-Mails mit Anhängen:
  Anleitung von heise Security

Welches Merksystem verwenden Sie?
Sicheres Passwort / Kennwort

April 2014 ¤ Wieder gab es einen millionenfachen Identitätsdiebstahl.
Meldung des Bundesamtes für Sicherheit in der IT
Einbrüche dieser Art können Sie kaum verhindern, da sie auf Server von Online-Diensten abzielen, bei denen Sie möglicherweise Kunde sind. Wie aber können Sie Ihre weiteren Benutzerkonten schützen?

ACHTUNG

Für Ihre sensiblen Benutzerkonten, also z.B.

• dort (Ebay, Online-Shops, Buchungssysteme etc.), wo Sie eine automatische Zahlung (via Lastschrift-Mandat/Zahlungsermächtigung, Kreditkarteninformationen, PayPal-Konto etc.) vereinbart haben
• für Ihre geschäftlichen E-Mail-Konten
• administrativer Zugang zu Ihrer Website, online Kunden-Datenbank etc. (via Internet-Service-Provider, Web-Hoster)
• in Social Network, Datenkraken und Clouds (Facebook, Google+ etc.)

• Benutzen Sie sichere Passwörter, die sich unter den Online-Diensten zumindest im Detail voneinander unterscheiden!
  s.u. GENERELLE TIPPS

WARNUNG

Erlangt ein Dieb Ihr Passwort zu einem solchen Benutzerkonto, kann er

• sich auf Ihre Kosten Waren bestellen, indem er die Lieferadresse ändert
• Ihren E-Mail-Verkehr unbemerkt mitlesen
• Ihr öffentliches Profil verändern
• in weitere Ihrer Benutzerkonten einbrechen, sofern Sie dort dasselbe Passwort verwenden

AUFKLÄRUNG

Passwörter können leicht durch automatisierte Angriffe geknackt werden, wenn sie lediglich aus wenigen solcher Teile bestehen:

• Wörter aus Wörterbüchern oder Verzeichnissen (Sommer, Sonja, Sonnenallee,...)
• Benutzernamen oder Mailadressen (maxmustermann, max@web.de,...)
• übliche Ersetzungen (s1ch3r! statt sicher)

GENERELLE TIPPS

• Ein eigener Satz Morgens gebe ich 3 Katzen Fressen wird zum Grundpasswort "Mogeic3KaFr" (je 2 Anfangsbuchstaben).
  Anleitung vom Bundesamt für Sicherheit in der IT
  Anleitung von Cosmos Versicherung
• Das Grundpasswort kombinieren mit dem Namen des Online-Dienstes (z.B. "Moygeic3KaFr", für ebay eingefügter letzter Buchstabe)
  Anleitung von heise Security
  (Seite 3; Erläuterung dazu auf Seite 1 in der Anleitung)

Wie gehen Sie ins Internet?
Manipulierte Router, insbesondere Fritz!Box

Februar 2014 ¤ Manche Router (die Geräte, welche PCs ans Internet anschließen) weisen gefährliche Sicherheitslücken auf, insbesondere

• viele Modelle der Fritz!Box von AVM,
• einige Modelle des Speedport der Telekom,

in welchen die Firmware veraltet ist, z.B. auf dem Auslieferungszustand.

ACHTUNG

• Prüfen Sie Ihren Router auf Schwachstellen, etwa mit diesem Online-Test:
  Netzwerkcheck von heise Security
• Falls Ihr Router betroffen ist, machen Sie ihn sicher!
  Anleitung von AVM
  Anleitung von heise Security

WARNUNG

Ist Ihr Router ungeschützt oder unsicher, können Fremde ihn aus der Ferne via Internet manipulieren (gewissermaßen kapern) und damit

• auf Ihre Kosten teure Telefonnummern anrufen
• Ihnen Login-Webseiten von Online-Diensten (z.B. Ihrer Bank, PayPal, Ebay etc.) vortäuschen, und Ihre geheimen Zugangsdaten (Passwort, PIN etc.) zu stehlen.

AUFKLÄRUNG

• technische Hintergrund-Informationen:
  Meldung in heise Security
• Zitat aus heise Security vom 17.02.2014: Wie man die verwundbaren Fritzboxen attackiert, ist längst kein Geheimnis mehr. Der dazu nötige Exploit-Code kursiert längst im Netz. Man muss daher davon ausgehen, dass die noch anfälligen Router in naher Zukunft kompromittiert werden - falls sie nicht sogar schon fremdgesteuert werden. Wer nach wie vor einen AVM-Router mit einer veralteten Firmware-Version betreibet, handelt leichtsinnig.

GENERELLE TIPPS

• Vergeben Sie sichere Kennwörter für den Zugang zum Administrations-Interface Ihres Routers und für Ihr WLAN.
  siehe Tipp Sicheres Passwort / Kennwort
• Prüfen Sie die möglicherweise vielfältigen Wege, wie Sie ins Internet gehen auf ihre Sicherheit. Verständlich erklärt und allgemeingültig:
  Schutzmaßnahmen von AVM

Wer bereichert sich an Ihrem Geld?
Auch abseits des Euros lässt sich wirtschaften

Januar 2014 ¤ Warum unterstützt Inlicht die Regionalwährung Elbtaler? — Sie ist ein Mosaikstein in einem Plan B zur eigentlichen Funktion von Geld:

• eine zinslose Währung als Tauschmittel in einem (vorrangig regionalen) Wirtschaftskreislauf, welches Spekulation, Anhäufung und Kreditblasen ausschließt
• um uns einfachen Unternehmern und Bürgern zu dienen, unabhängig von Kapitalanreicherung besonders Vermögender
• um unsere Kaufkraft ein Stück weit zu retten vor den legalisierten Raubzügen innerhalb des Finanzsystems und in zukünftigen Finanz-Crashs (durch Derivate und Bad Banks zu Gunsten der Geschäftsbanken; durch beabsichtigte Konkurse zu Gunsten von Investoren durch Währungsreformen, Abwertung von Einlagen u.ä., welche hauptsächlich normal bemittelte Bürger und Unternehmen treffen)
• im Raum Dresden mit dem Elbtaler - dieser symbolisiert Versprechen der Handelspartner, konkrete Dienstleistungen oder Waren zu erbringen, gewissermaßen ein vertraglich vereinbarter Tausch auf Raten innerhalb unserer Region.

WARNUNG

In welche Schieflage ist das Finanzsystem geraten?

• Interview mit Börsenmakler Dirk Müller und Unternehmer Ernst Prost zur Ausplünderung unser Wirtschaftssysteme und Volkswirtschaften durch die internationalen Finanzmärkte
  Video der Talkshow
• 2 Gespräche über unser Wirtschaftssystem mit dem Sozialwissenschaftler Meinhard Miegel (u.a. im Vorstand vom Denkwerk Zukunft - Stiftung kulturelle Erneuerung) im Feuilleton Debatten:
  Das System ist am Ende, das Leben geht weiter
  Artikel in der Frankfurter Allgemeinen
  2015 - das Jahr der finalen Krise
  Artikel in der Frankfurter Allgemeinen
• Programmierte Crashs könnten nicht nur durch Steuern, auch durch Enteignung von Kontoinhabern und Anlegern bezahlt werden. Die mächtigsten Banken dagegen gewinnen.
  Artikel der Deutschen Wirtschafts Nachrichten
• Interview mit den Ökonomen Matthias Weick und Marc Friedrich zum Scheitern der Papierwährungen, wer das Geld regiert und wie man Verlusten aus dem Weg gehen kann
  Video Der größte Raubzug der Geschichte
• Die Professoren Wilhelm Hankel, Eberhard Hamer und Harald Lesch erklären im modernen Geldsystem eingebaute Betrugsmechanismen
  Video der Vorträge

AUFKLÄRUNG

• Zahlen und Fakten zur Falle Zinseszins, Staatsverschuldung, Umverteilung vom Normalverbraucher hin zu Superreichen
  Grafiken auf finanzkrise-politik.de

GENERELLE TIPPS

• Reformansätze, Lösungskonzepte zu unserer Wirtschaftsweise:
  Wissenssammlung der MONNETA gGmbH
• Funktionsweise einer Komplementärwährung:
  Information des Regiogeld e.V.

Impressum

siehe Kontakt und Impressum